1.2.2. Двоетапна аутентифікація (2FA)

Загальна інформація

Вхід за допомогою телефону вимикає 2FA

Коли в обліковому записі налаштована двоетапна аутентифікація та доданий телефонний номер, в якості резервного способу проходження двоетапної аутентифікації можна використовувати телефон (отримати код для входу за допомогою дзвінка або SMS). Однак після входу за допомогою телефону в обліковому записі буде вимкнена двоетапна аутентифікація і відв'язані всі прив'язані раніше банківські картки. Використовуйте цей спосіб тільки в разі крайньої необхідності, коли інші способи проходження двоетапної аутентифікації недоступні.

flowchart LR 2fa@{ shape: stadium, label: "🛡 2FA" } subgraph "Проходження 2FA" telegram@{ shape: rounded, label: "🤖 Telegram" } button@{ shape: rect, label: "🔟 Натискання в боті
кнопки з числом" } telegram-->button gauth@{ shape: rounded, label: "📱 GAuth" } otp_code@{ shape: lean-r, label: "🔢 Код із застосунку"} gauth-->otp_code email@{ shape: rounded, label: "✉️ Email" } email_code@{ shape: lean-r, label: "🔢 Код з листа"} email-->email_code webauthn2@{ shape: rounded, label: "🔑 WebAuthn" } passkey@{ shape: rect, label: "🔐 Підтвердження входу
ключем доступу" } webauthn2-->passkey phone@{ shape: rounded, label: "📞 Телефон
(резервний
спосіб)" } robot@{ shape: lean-r, label: "🔢 Продиктовані роботом
4 цифри" } phone-->|"Дзвінок
на український номер"|robot last_digits@{ shape: lean-r, label: "🔢 Останні 4 цифри номера, з якого дзвонили" } phone-->|"Дзвінок
на закордонний номер"|last_digits sms_code@{ shape: lean-r, label: "🔢 Код з SMS" } phone-->|SMS|sms_code end disable@{ shape: rect, label: "❌ Вимкнення 2FA
та видалення
банківських карток" } finish@{ shape: stadium, label: "✔️ Готово" } 2fa-->telegram & gauth & email & webauthn2 & phone button & otp_code & email_code & passkey-->finish robot & last_digits & sms_code-->disable-->finish

Двоетапна аутентифікація (Two-Factor Authentication або скорочено 2FA) — це додатковий захід безпеки, після налаштування якого при вході в панель керування потрібно буде не тільки вводити пошту облікового запису і пароль, а й додатково підтверджувати вхід одним із способів:

  • Натискати на кнопку з числом у повідомленні від нашого Telegram-бота.
  • Вводити одноразовий код, який буде згенеровано застосунком-аутентифікатором на мобільному пристрої.
  • Вводити одноразовий код, який буде надіслано на пошту облікового запису.
  • Використовувати ключ безпеки (наприклад, смартфон або апаратний ключ).

Керування двоетапною аутентифікацією виконується в розділі «Персональні дані» на вкладці «Безпека»:

Налаштування

Увага!

При увімкненні двоетапної аутентифікації для облікового запису будуть скинуті всі активні сесії, крім поточної.

Telegram

Примітки:

  • Двоетапна аутентифікація через Telegram автоматично вмикається при прив'язці Telegram-акаунта і за бажанням може бути вимкнена.
  • Якщо в обліковому записі додано кілька Telegram-акаунтів, повідомлення для підтвердження входу надсилається у всі.
  1. Додайте Telegram-акаунт (якщо не доданий).
  2. Відкрийте розділ «Персональні дані» і перейдіть на вкладку «Безпека».
  3. У блоці «Двоетапна аутентифікація» біля методу Telegram натисніть «Увімкнути».

GAuth

Увага!

Для коректної роботи двоетапної аутентифікації через застосунок-аутентифікатор час на мобільному пристрої з застосунком має в точності збігатися з поточним часом сервера. Якщо він не збігається, потрібно в застосунку перейти в розділ «Ще → Налаштування → Корекція часу для кодів» і натиснути «Синхронізувати».
  1. Відкрийте розділ «Персональні дані» і перейдіть на вкладку «Безпека».
  2. У блоці «Двоетапна аутентифікація» біля методу GAuth натисніть «Увімкнути».
  3. Встановіть на мобільний пристрій застосунок-аутентифікатор:
  4. У застосунку відскануйте QR-код або введіть розташований під ним секретний ключ вручну.
  5. Введіть згенерований застосунком код двоетапної аутентифікації та натисніть «Підтвердити»:

Email

  1. Відкрийте розділ «Персональні дані» і перейдіть на вкладку «Безпека».
  2. У блоці «Двоетапна аутентифікація» біля методу Email натисніть «Увімкнути».

WebAuthn

Важливі моменти:

  • WebAuthn можна використовувати як для двоетапної аутентифікації, так і для входу без пароля.
  • Деякі пристрої можуть не підтримувати WebAuthn, наприклад пристрої із застарілими версіями операційних систем, окремі моделі смартфонів Xiaomi, OnePlus тощо.
  • Для кожного облікового запису на одному пристрої (або в одному сховищі) може зберігатися тільки один ключ доступу.
  • У Windows для локального зберігання ключів доступу для облікового запису на пристрої має бути обов'язково налаштований ПІН-код (одного пароля недостатньо), за наявності відповідного обладнання також можна використовувати сканер відбитків пальців або розпізнавання облич.
  • На Android ключі безпеки зберігаються в менеджері паролів Google і синхронізуються між пристроями. Переглянути список збережених ключів доступу, відредагувати їх або видалити можна в менеджері паролів: на Android — «Налаштування → Google → Автозаповнення → Автозаповнення від Google → Паролі», у браузері — «Google Акаунт → Безпека → Збережені паролі → Менеджер паролів».
  • На iPhone ключі безпеки зберігаються у «Зв'язці ключів iCloud» і синхронізуються між пристроями. Переглянути список збережених ключів доступу, відредагувати їх або видалити можна в розділі «Налаштування → Паролі».
  • Пристрої на Android і iPhone можуть виступати посередниками — зберігати і зчитувати ключі доступу з підключених апаратних USB- або NFC-ключів.
  • У менеджері паролів Bitwarden збереження та використання ключів доступу можливе тільки через браузерне розширення.
  1. Відкрийте розділ «Персональні дані» і перейдіть на вкладку «Безпека».
  2. У блоці «Двоетапна аутентифікація» біля методу WebAuthn натисніть «Налаштувати».
  3. Введіть довільну назву пристрою, на якому будете зберігати ключ доступу, і натисніть «Додати». ⚠️ Назва пристрою вказується тільки під час додавання і після цього не змінюється. Єдиний спосіб її змінити — видалити пристрій і налаштувати повторно.
  4. Зареєструйте новий ключ доступу:
    ПІН-код (має бути попередньо налаштований у системі):
    1. У вікні «Підтвердження вашої особи» виберіть «ПІН-код» (або «Цей пристрій з Windows → ПІН-код»).
    2. Введіть встановлений у системі ПІН-код і натисніть Enter
    3. У разі успіху з'явиться вікно «Ключ доступу збережено».

    Ключ безпеки (апаратний USB-ключ, наприклад YubiKey):

    1. У вікні «Підтвердження вашої особи» виберіть «Використовувати інший пристрій → Ключ безпеки».
    2. У вікні «Налаштування ключа безпеки» натисніть «ОК».
    3. У вікні «Продовжити встановлення» натисніть «ОК».
    4. Вставте апаратний ключ і натисніть кнопку на ньому.
    5. У разі успіху з'явиться вікно «Ключ доступу збережено».

    Пристрій iPhone, iPad або Android:

    1. У вікні «Підтвердження вашої особи» виберіть «Використовувати інший пристрій → Пристрій iPhone, iPad або Android».
    2. Відскануйте пристроєм QR-код.
    3. На пристрої буде виведена пропозиція запам'ятати його, щоб кожного разу не сканувати QR-код, — виберіть потрібний вам варіант.
    4. Після підключення пристрою на ньому з'явиться інформація про те, для якого сайту і в якому акаунті буде збережено ключ доступу, — натисніть «Продовжити».
    5. Використовуйте на пристрої блокування екрана для підтвердження збереження ключа.
    6. У разі успіху з'явиться вікно «Ключ доступу збережено».
    1. На пристрої з'явиться інформація про те, для якого сайту і в якому акаунті буде збережено ключ доступу, — натисніть «Продовжити».
    2. Використовуйте на пристрої блокування екрана для підтвердження збереження ключа.
    3. У разі успіху з'явиться вікно «Ключ доступу збережено».
    1. У вікні розширення «Виберіть логін, для якого буде збережено ключ доступу» виберіть запис, для якого потрібно зберегти ключ доступу, і натисніть «Зберегти ключ доступу» (або створіть новий запис, якщо у сховищі немає збігів).
    2. Якщо для вибраного запису вже існує ключ доступу, підтвердіть його перезапис (обов'язково упевніться, що ви не перезаписуєте потрібний ключ доступу).
  5. (Необов'язково) Якщо ви хочете входити за ключем доступу без введення пароля, у блоці «Двоетапна аутентифікація» біля методу WebAuthn натисніть «Налаштувати» і в рядку з потрібним пристроєм увімкніть опцію «Вхід без пароля».

Вимкнення

  1. Відкрийте розділ «Персональні дані» і перейдіть на вкладку «Безпека».
  2. У блоці «Двоетапна аутентифікація»:
    • Для Telegram або GAuth — просто натисніть «Вимкнути».
    • Для WebAuthn — натисніть «Налаштувати» і видаліть пристрої зі списку.

Використання кількох пристроїв

Увага!

З метою безпеки рекомендуємо налаштовувати двоетапну аутентифікацію тільки на одному пристрої, який повністю вами контролюється і недоступний стороннім особам. Пам'ятайте, що ви несете повну відповідальність за всі дії, які можуть бути виконані у вашому обліковому записі особами, у яких буде доступ до нього.

Способи організації

При вході в обліковий запис для проходження двоетапної аутентифікації можливо використовувати кілька різних пристроїв. Це можна організувати такими способами:

  • Прив'язати до одного облікового запису кілька Telegram-акаунтів. При вході наш Telegram-бот надсилає підтвердження в кожен з них.
  • Налаштувати GAuth одночасно на декількох пристроях:
    Якщо вже налаштований застосунок підтримує імпорт/експорт — можна експортувати дані та імпортувати їх на іншому пристрої. Така можливість доступна в Google Authenticator та альтернативних застосунках, на кшталт Aegis і andOTP. З її допомогою можна переносити налаштування між пристроями і створювати їхню резервну копію, щоб зберегти в надійному місці на випадок непередбачених ситуацій.
    Можна відсканувати QR-код кількома пристроями — для цього потрібно вимкнути двоетапну аутентифікацію через застосунок (якщо вона була увімкнена) та увімкнути повторно. При цьому на етапі сканування QR-коду потрібно:
    • Або відсканувати QR-код, або ввести секретний ключ не на одному, а відразу на всіх потрібних пристроях.
    • Або зробити скріншот з QR-кодом або скопіювати секретний ключ, щоб пізніше використати їх для налаштування застосунку на іншому пристрої. При використанні цього способу вкрай важливо, щоб до скріншоту або ключа не було доступу у сторонніх. Краще надійно видалити їх одразу після налаштування потрібних пристроїв або зберігати їх там, де до них гарантовано не буде доступу ні в кого, крім вас.
  • Налаштувати WebAuthn для потрібних пристроїв.

Вимкнення

Зміст
    (1)